Podatności Ekushey Project Manager CRM

Ekushey Project Manager CRM przechowuje nazwę systemu skonfigurowaną przez administratora i wyświetla ją na stronie logowania bez kodowania wyjścia. Wartość jest umieszczana w trzech miejscach, a wystąpienie w elemencie h4 jest parsowane jako znaczniki, co pozwala na wykonanie skryptów. Strona logowania jest dostępna bez uwierzytelnienia, więc skrypt wykonuje się u każdego odwiedzającego.

Ekushey Project Manager CRM w wersji do 5.0 zawiera podatność na trwałe XSS (stored cross-site scripting), która umożliwia uwierzytelnionym użytkownikom-klientom wstrzyknięcie dowolnego HTML i JavaScript poprzez wprowadzenie złośliwych ładunków w polu Reply Ticket. Atakujący mogą stworzyć i przechowywać złośliwe skrypty, które wykonują się w sesjach przeglądarki personelu lub administratorów przeglądających stronę szczegółów zgłoszenia.

W Ekushey Project Manager CRM w wersji 5.0 i wcześniejszych wykryto podatność na trwałe ataki XSS. Uwierzytelnieni klienci mogą wstrzyknąć złośliwy kod HTML i JavaScript w polu tytułu zgłoszenia na stronie tworzenia nowego zgłoszenia, który następnie jest wyświetlany bez sanityzacji na stronie pomocy technicznej.

Ekushey Project Manager CRM w wersji do 5.0 zawiera podatność na trwałe XSS, która pozwala uwierzytelnionym użytkownikom-klientom na wstrzykiwanie dowolnego HTML i JavaScript przez pole Name na stronie Edit Profile. Złośliwe skrypty wykonują się w sesjach przeglądarki personelu lub administratorów przeglądających strony Manage Clients lub Manage Client Projects.

Ekushey Project Manager CRM w wersji do 5.0 zawiera podatność braku unikalności, która pozwala uwierzytelnionym administratorom na tworzenie duplikatów kont klientów z identycznym adresem e-mail i hasłem. Atakujący mogą wykorzystać brak wymuszania unikalności pola e-mail do tworzenia konfliktowych stanów kont, prowadząc do nieprzewidywalnego uwierzytelniania i nieautoryzowanego dostępu do kont.